lanmarc77/cve-2021-33831Código de exemplo de exploit para CVE-2021-33831
O aplicativo é usado para rastrear pessoas de acordo com as leis alemãs de infecção para poder traçar cadeias de infecção de Covid-19. Foi criado por um projeto estudantil chamado iCampus e é usado não apenas na universidade em Wildau mas também em Cottbus-Senftenberg. Cerca de 10.000 pessoas são afetadas. Os visitantes das universidades são obrigados a usar este aplicativo.
O aplicativo consiste em um frontend Vue e um backend Laravel.
O backend expõe o endpoint de registro de usuário convidado /corona-app-backend/api/account/register
que permite o registro de visitantes da universidade. Membros da universidade podem fazer login usando sua combinação de nome de usuário/senha de single sign-on.
Este endpoint de registro não é protegido contra a criação automatizada de usuários (por exemplo, via um captcha). Uma vez que um programa obtém um cookie csrf via /corona-app-backend/sanctum/csrf-cookie e um token de sessão via /corona-app-backend/account ele pode criar usuários. Quantos quiser. Pelo tempo que quiser. Muitos usuários falsos tornam praticamente impossível para uma organização de saúde rastrear cadeias de infecção, tornando isso um tipo de ataque de negação de serviço.
O registro de um usuário é um post para o endpoint de registro contendo o cookie csrf e o token de sessão com o seguinte payload json:
{"first_name":"John","last_name":"Doe","telephone":"099182","email":null,"accept":true}
Ou o campo email ou telefone precisa ser preenchido. Ambos não são verificados (além de verificações de sintaxe).
Com uma sessão de usuário válida, visitas (check-ins em salas) podem ser criadas via o endpoint /corona-app-backend/api/visit
Uma visita é um post para o endpoint de visita contendo o cookie csrf e o token de sessão com o seguinte payload json:
{"room":"15-K01","visited_on":"2021-05-09T22:01:00.000Z","exited_on":"2021-05-10T21:59:00.000Z"}')
O valor do campo room pode ser obtido de uma lista que pode ser recuperada do endpoint de salas /corona-app-backend/api/rooms e entrega um json com todas as salas da universidade. Basta o cookie csrf e o token de sessão para a chamada ter sucesso.
O problema pode ser comparado ao CVE-2021-33840 mas vai muito além.
Além disso, o aplicativo não contém nenhuma criptografia nas partes frontend/backend (além da criptografia de transporte via https). O backend recebe dados json não criptografados e entrega dados json não criptografados.
O código de exploração totalmente automatizado em linguagem Perl cria 500 usuários (a partir de bancos de dados de nomes aleatórios) com números de telefone aleatórios mas com aparência válida e todos os usuários são check-in em uma sala. Totalmente automatizado. Um atraso de 5s/requisição foi inserido para não sobrecarregar o servidor e para não acionar qualquer proteção que pudesse existir. A exploração foi executada totalmente automatizada com sucesso e eu reportei o problema incluindo os usuários falsos criados para a universidade no mesmo dia.
Antes de escolher uma sala, eu me certifiquei de que a sala não havia sido visitada naquele dia. Isso é possível pois o aplicativo contém um contador de quantas pessoas alguém esteve em contato em uma sala específica. Então, se alguém visita uma sala e esse contador é 0, ninguém mais estava na sala durante aquele período.
O aplicativo também foi afetado por um RCE do CVE-2021-3129 que reportei em 12.04.2021 para a universidade. O problema atual foi reportado em 31.05.2021.
Para ambos os relatos, recebi um e-mail de confirmação de recebimento no dia seguinte ao reporte. Não recebi mais nada depois.
Um pedido ao código-fonte do aplicativo está em andamento.
